CVE-2026-100722
Açıklama
3.12.2 öncesindeki vm2, sandbox-to-host construct tuzağında ana bilgisayar tarafındaki Promise reddi işlemini uygulamaz. BaseHandler içinde, apply tuzağı döndürülen değer üzerinde markHostPromiseHandled() fonksiyonunu çağırırken, bitişik construct yolu aynı temizleme işlemi olmadan Reflect.construct sonucunu döndürür. Eğer bir gömücü, kurucusu yerel olarak reddedilmiş bir Promise döndüren oluşturulabilir bir ana bilgisayar fonksiyonunu açığa çıkarırsa, VM.run aracılığıyla yürütülen güvenilmeyen bir betik bunu `new` ile çağırabilir ve sonucu görmezden gelebilir; reddedilen ana bilgisayar Promise'i köprüyü işlenmemiş şekilde geçer ve Node'un katı işlenmemiş-reddetme politikası altında, ana bilgisayar sürecini sonlandıran yakalanmamış bir istisnaya dönüştürülür.
Nasıl düzeltilir
- vm23.12.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2npm | v < 3.12.2 | 3.12.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.